پیام‌رسان‌ها کنار هم

کدوم امن‌تره

«تلگرام امن‌تره یا واتساپ؟» یکی از پرتکرارترین سوال‌هاییه که فارسی‌زبون‌ها جستجو می‌کنن، و تقریبا هر جوابی که پیدا می‌کنید، یه نظر شخصیه: یکی می‌گه تلگرام چون «رمزنگاری خودش رو داره»، یکی می‌گه واتساپ چون «سرتاسریه»، یکی می‌گه هیچ‌کدوم. مشکل اینه که سوال، دو تا سوال توی یه جمله‌ست.

این درس به جای نظر، از روی سند رسمی خود هر شرکت، یعنی صفحه‌ی امنیت، راهنما و سیاست حریم خصوصیشون، شش پیام‌رسان و پیامک رو کنار هم می‌ذاره. درس‌های رمزنگاری و سرتاسری پایه‌ی این درسن؛ اگه نخوندیدشون، کلمه‌هایی مثل «سرتاسری» و «فراداده» اونجا توضیح داده شدن.

واتساپ

امنیت: پیام‌ها و تماس‌های دونفره و گروهی، به‌طور پیش‌فرض، با پروتکل سیگنال سرتاسری‌ان، و طبق سیاست حریم خصوصیش، واتساپ پیام‌ها رو در حالت عادی نگه نمی‌داره؛ فقط پیام‌هایی که هنوز نرسیدن، رمزشده و برای مدت کوتاه. پشتیبان رو هم می‌شه سرتاسری کرد، ولی خودش روشن نیست.

حریم خصوصی: همون سیاست می‌گه واتساپ اطلاعات زیادی درباره‌ی استفاده جمع می‌کنه؛ از جمله لاگ‌ها، اینکه کی آنلاین بودید و آخرین بازدید، اطلاعات دستگاه و اتصال شامل نشانی اینترنتی (IP)، جای تقریبی از روی IP و کد شماره، و اگه اجازه بدید، شماره‌های دفترچه‌ی تلفن. و می‌گه این اطلاعات رو با شرکت‌های دیگه‌ی متا، مثل فیسبوک و اینستاگرام، شریک می‌شه، برای کارهایی مثل امنیت، بهتر کردن خدمات، و نشون دادن پیشنهادها و تبلیغ‌های مرتبط توی محصولات متا. یعنی نامه رو نمی‌خونه، ولی دفترش پره. درس واتساپ می‌گه کدوم تنظیم‌ها این دفتر رو کوچیک‌تر می‌کنن.

تلگرام

امنیت: طبق راهنمای خود تلگرام، چت‌های معمولی، که بهشون «چت ابری» می‌گه، و همه‌ی گروه‌ها و کانال‌ها، سرتاسری نیستن؛ رمزشده روی سرورهای تلگرام ذخیره می‌شن و کلیدشون پیش تلگرامه. فقط «چت مخفی» و تماس‌های صوتی و تصویری سرتاسری‌ان. یعنی بیشتر چیزهایی که آدم‌ها توی تلگرام می‌فرستن، روی سرور تلگرام قابل خوندنه، هر چند تلگرام می‌گه داده‌ها رو بین مرکزهای داده‌ای توی کشورهای مختلف پخش کرده و کلیدها رو جدا از داده‌ها نگه می‌داره.

حریم خصوصی: سیاست حریم خصوصی تلگرام می‌گه برای امنیت و جلوگیری از هرزنامه، ممکنه فراداده‌هایی مثل IP، دستگاه‌ها و برنامه‌هایی که استفاده کردید و تاریخچه‌ی عوض کردن نام کاربری رو نگه داره، حداکثر ۱۲ ماه. مخاطب‌ها فقط با اجازه‌ی شما، و فقط شماره و اسم. و می‌گه اگه یه حکم معتبر قضایی بیاد که شما رو به یه جرم مشکوک بدونه، پس از بررسی حقوقی، ممکنه IP و شماره‌ی تلفن رو بده، و این موارد رو توی گزارش شفافیتش میاره. درس تلگرام تنظیم‌هاش رو قدم‌به‌قدم می‌گه.

سیگنال

امنیت: همه‌چیز سرتاسریه، پیام‌ها، تماس‌ها، گروه‌ها، و طبق سیاست حریم خصوصیش، حتی نام و عکس پروفایل. برنامه رایگان و متن‌بازه و یه بنیاد غیرانتفاعی می‌گردونتش.

حریم خصوصی: سیگنال یه صفحه داره که هر بار به‌طور قانونی مجبور به جواب دادن به یه درخواست دولتی شده، متن کامل اون مکاتبه رو منتشر می‌کنه. طبق همون صفحه، تنها چیزی که می‌تونه درباره‌ی یه حساب بده، تاریخ و ساعت ثبت‌نام و آخرین روزیه که به سرویس وصل شده؛ نه مخاطب‌ها، نه گروه‌ها، نه اینکه با کی حرف زده. یعنی دفتر پستخونه‌ی سیگنال تقریبا خالیه. ضعف اصلیش از نظر ما کاربرها اینه که هنوز اطرافیان کمتری روشن، و برای ثبت‌نام شماره‌ی تلفن لازمه.

آی‌مسیج

آی‌مسیج، پیام‌رسان داخلی دستگاه‌های اپل، بین دو دستگاه اپل سرتاسریه. ولی یه جزئیات مهم توی سند امنیت آی‌کلود اپل هست که خیلی‌ها نمی‌دونن: با تنظیم پیش‌فرض، یعنی «محافظت استاندارد داده»، اگه هم «پیام‌ها در آی‌کلود» روشن باشه و هم پشتیبان آی‌کلود، پشتیبان یه نسخه از کلید پیام‌ها رو داره، و کلیدهای پشتیبان پیش اپله. یعنی پیام‌ها توی راه سرتاسری‌ان، ولی از راه پشتیبان، اپل می‌تونه بهشون برسه.

اپل برای این یه گزینه گذاشته به اسم Advanced Data Protection، یعنی «محافظت پیشرفته‌ی داده»، که پشتیبان و کلید پیام‌ها رو هم سرتاسری می‌کنه. طبق همون سند، با روشن کردنش اگه دسترسی به حساب رو از دست بدید، اپل کلید نداره که کمکتون کنه؛ باید رمز دستگاه، یه مخاطب بازیابی یا کلید بازیابی شخصی داشته باشید. درس آیفون می‌گه کجاست.

Google Messages

برنامه‌ی پیام گوگل، که روی خیلی از گوشی‌های اندروید برنامه‌ی پیش‌فرض پیامکه، دو جور پیام داره. طبق راهنمای گوگل، وقتی هر دو طرف Google Messages دارن و چت RCS روشنه، پیام‌ها و فایل‌ها خودبه‌خود سرتاسری‌ان و روی دکمه‌ی فرستادن یه قفل دیده می‌شه. ولی اگه پیام به شکل پیامک یا MMS بره، مثلا چون طرف مقابل RCS نداره یا اینترنت نیست، سرتاسری نیست. یعنی یه برنامه، دو جور امنیت؛ به قفل نگاه کنید.

مسنجر فیسبوک و اینستاگرام

متا دسامبر ۲۰۲۳ اعلام کرد پیام‌ها و تماس‌های شخصی مسنجر، به‌طور پیش‌فرض سرتاسری می‌شن، و چون کاربرهاش بیش از یه میلیارد نفرن، این کار چند ماه طول کشید؛ ژانویه‌ی ۲۰۲۵ گفت برای بیشتر کاربرهای دنیا انجام شده. طبق همون اعلام، گروه‌ها و پیام مستقیم اینستاگرام جزو اون تغییر نبودن. حریم خصوصی هم مثل واتساپه: پیام سرتاسری، ولی حساب به فیسبوک و داده‌های متا وصله. درس اینستاگرام درباره‌ی پیام‌های مستقیم اینستاگرام از روی سند تازه‌ی خودش می‌گه.

پیامک

پیامک معمولی توی هر دو سوال ضعیف‌ترینه: سرتاسری نیست و اپراتور متن رو می‌بینه، و فراداده، یعنی کی به کی پیام داد، پیش اپراتور می‌مونه. پیامک برای کدهای ورود و پیام‌های کوتاه بی‌اهمیت رایجه، ولی برای هیچ چیز خصوصی مناسب نیست. درس امنیت پیامک.

شماره‌ی تلفن و نام کاربری

بیشتر پیام‌رسان‌ها با شماره‌ی تلفن ثبت‌نام می‌کنن، و شماره، همون‌طور که درس سیم‌سواپ گفت، یه جور شناسنامه‌ی دیجیتاله. سوال اینه که کی شماره‌ی شما رو می‌بینه. توی گروه‌های بزرگ، هر عضو ممکنه شماره‌ی بقیه رو ببینه، مگه اینکه پنهانش کرده باشید.

خیلی از پیام‌رسان‌ها حالا نام کاربری (Username) دارن، که می‌شه بی دادن شماره، با یکی حرف زد. توی تنظیمات حریم خصوصی، بخش شماره‌ی تلفن، تعیین کنید شماره رو فقط مخاطب‌ها ببینن، یا هیچ‌کس، و اینکه کی بتونه با شماره پیداتون کنه. برای کار و آگهی، نام کاربری بدید، نه شماره.

دفترچه‌ی تلفن

اولین باری که یه پیام‌رسان رو نصب می‌کنید، اجازه‌ی دسترسی به مخاطب‌ها رو می‌خواد. با دادن این اجازه، شماره‌ی همه‌ی آدم‌های دفترچه‌تون، حتی اونایی که اون پیام‌رسان رو ندارن، به شرکت فرستاده می‌شه. واتساپ توی سیاستش می‌گه شماره‌ی کسایی که کاربر نیستن رو طوری مدیریت می‌کنه که خودش نتونه بشناسدشون، و تلگرام می‌گه فقط شماره و اسم رو نگه می‌داره. ولی در هر حال، این تصمیمیه که به جای همه‌ی آدم‌های دفترچه‌تون می‌گیرید.

اگه نمی‌خواید، اجازه‌ی مخاطب‌ها رو ندید و مخاطب رو با نام کاربری یا دستی اضافه کنید؛ بیشتر پیام‌رسان‌ها بی این اجازه هم کار می‌کنن. توی تلگرام، می‌شه مخاطب‌هایی که قبلا همگام شدن رو هم از تنظیمات حریم خصوصی پاک کرد. درس اجازه‌های برنامه درباره‌ی همه‌ی این اجازه‌هاست.

متن‌باز

وقتی یه پیام‌رسان می‌گه «پیام‌هاتون سرتاسریه»، از کجا مطمئن بشیم؟ یه راه اینه که کد برنامه متن‌باز (Open Source) باشه، یعنی هر کسی بتونه بخونتش. سیگنال کامل متن‌بازه. تلگرام کد برنامه‌هاش رو منتشر می‌کنه، و توی سیاستش می‌گه می‌شه بررسی کرد که برنامه‌های فروشگاه‌ها با همون کد منتشرشده ساخته شدن؛ ولی سرورهاش متن‌باز نیستن. واتساپ متن‌باز نیست، ولی از پروتکل سیگنال، که متن‌بازه، استفاده می‌کنه و متخصص‌های بیرونی بررسیش کردن.

متن‌باز بودن به‌تنهایی امنیت نمی‌سازه، ولی ادعا رو قابل بررسی می‌کنه. برنامه‌ای که هم بسته‌ست و هم روش رمزنگاریش رو منتشر نکرده، فقط می‌گه «به ما اعتماد کنید».

پولش از کجا میاد

یه سوال ساده که خیلی چیزها رو روشن می‌کنه: این پیام‌رسان رایگان، از کجا پول درمیاره؟ واتساپ و مسنجر مال متا هستن، که درآمد اصلیش تبلیغه، و سیاست واتساپ هم صاف می‌گه اطلاعات با شرکت‌های متا شریک می‌شه، از جمله برای تبلیغ‌های مرتبط. تلگرام از اشتراک پولی، تبلیغ توی کانال‌ها و ابزارهای تبلیغاتی درآمد داره. سیگنال یه بنیاد غیرانتفاعیه و از کمک‌های مردمی اداره می‌شه.

مدل درآمد به‌تنهایی خوب یا بد نیست، ولی می‌گه شرکت چه انگیزه‌ای برای جمع کردن داده داره. همون اصلی که توی درس اول این مسیر گفتیم: وقتی برای یه چیز پول نمی‌دید، بپرسید پولش رو کی می‌ده و چرا.

شرکت کجاست

هر شرکتی باید از قانون کشوری که توش ثبت شده، و کشورهایی که سرور داره، پیروی کنه. یعنی اینکه یه دولت، با حکم قانونی، چه اطلاعاتی می‌تونه از یه پیام‌رسان بخواد، به همین بستگی داره. چیزی که اینجا کمک می‌کنه، همون سرتاسری بودنه: شرکتی که پیام‌ها رو نمی‌تونه بخونه، با هیچ حکمی هم نمی‌تونه بده؛ فقط فراداده‌ای که نگه می‌داره رو می‌تونه بده. برای همینه که مقدار فراداده‌ای که هر پیام‌رسان نگه می‌داره، اینجا مهم می‌شه. درس دسترسی قانونی دولت‌ها این رو برای هر شرکت جدا، فقط از روی قانون‌ها و سندهای رسمی، باز می‌کنه.

نسخه‌های غیررسمی

برای خیلی از پیام‌رسان‌ها، نسخه‌های غیررسمی و تغییریافته هست، با اسم‌هایی مثل «طلایی»، «پلاس» یا «پرو»، که امکانات اضافه وعده می‌دن: دیدن پیام‌های پاک‌شده، پنهان کردن آنلاین بودن، و از این دست. این برنامه‌ها رو یه شرکت یا آدم دیگه ساخته و خود پیام‌رسان هیچ کنترلی روشون نداره. برنامه‌ای که پیام‌های شما رو برای دیدن پیام‌های پاک‌شده نگه می‌داره، می‌تونه همون‌ها رو جای دیگه هم بفرسته.

تلگرام توی راهنماش پیشنهاد می‌کنه برای چیزهای حساس فقط از برنامه‌های رسمی یا دست‌کم متن‌باز قابل بررسی استفاده کنید، و واتساپ هم استفاده از نسخه‌های تغییریافته رو مجاز نمی‌دونه و ممکنه حسابی که باهاشون کار می‌کنه رو ببنده. پیام‌رسان رو فقط از فروشگاه رسمی گوشی یا سایت رسمی خودش بگیرید. درس برنامه‌ی جعلی.

پیش‌نمایش لینک

وقتی توی یه پیام‌رسان لینک می‌فرستید، یه کارت کوچیک با عکس و عنوان صفحه ساخته می‌شه. برای ساختن این کارت، یکی باید اون صفحه رو باز کنه: یا گوشی شما، یا سرور پیام‌رسان. اگه گوشی شما باز کنه، سایت مقصد نشانی اینترنتی شما رو می‌بینه؛ اگه سرور باز کنه، پیام‌رسان می‌فهمه چه لینکی فرستادید. بعضی پیام‌رسان‌ها، از جمله واتساپ، گزینه‌ای دارن که پیش‌نمایش لینک رو خاموش کنید. برای لینک‌های حساس، یا وقتی نمی‌خواید سایت مقصد نشانی شما رو ببینه، خاموشش کنید. درس واتساپ جای این گزینه رو می‌گه.

تماس و نشانی اینترنتی

تماس صوتی و تصویری توی واتساپ، سیگنال و تلگرام سرتاسریه، یعنی کسی صدای شما رو نمی‌شنوه. ولی برای اینکه صدا سریع برسه، خیلی وقت‌ها دو گوشی مستقیم به هم وصل می‌شن، و توی اتصال مستقیم، هر کدوم نشانی اینترنتی (IP) اون یکی رو می‌بینه. از روی IP، می‌شه شهر و اینترنت‌دهنده‌ی تقریبی آدم رو فهمید. برای تماس با غریبه‌ها، این حریم خصوصیه که شاید نخواید بدید.

بیشتر پیام‌رسان‌ها یه گزینه دارن که تماس، به جای اتصال مستقیم، از سرورهای خودشون رد بشه تا IP شما برای طرف مقابل پیدا نباشه؛ کیفیت ممکنه یه کم کمتر بشه. توی تلگرام توی تنظیمات حریم خصوصی، بخش تماس‌ها، گزینه‌ی همتا‌به‌همتا (Peer-to-Peer) رو برای غیرمخاطب‌ها خاموش کنید؛ واتساپ و سیگنال هم گزینه‌ی مشابه دارن که درس هر کدوم جاش رو می‌گه. اگه جای گزینه فرق داشت، توی تنظیمات دنبال «تماس» و «IP» بگردید.

گروه‌ها و کانال‌ها

گروه‌های بزرگ از نظر حریم خصوصی یه دنیای دیگه‌ان. توی یه گروه هزار نفره، هر عضو ممکنه شماره، عکس پروفایل و اسم شما رو ببینه، بسته به تنظیم‌هاتون، و هر پیامی که می‌فرستید، دست هزار نفره. کانال‌ها و گروه‌های عمومی حتی ممکنه توسط موتورهای جستجو یا ابزارهای جمع‌آوری خونده بشن. پیامی که توی یه گروه عمومی می‌نویسید رو، مثل یه پست عمومی در نظر بگیرید.

برای همین کلاهبردارها گروه‌های بزرگ رو دوست دارن: از اونجا شماره‌ها رو جمع می‌کنن و به آدم‌ها پیام خصوصی می‌دن، اغلب به اسم «مدیر گروه» یا «پشتیبانی». تنظیم کنید که فقط مخاطب‌ها بتونن بهتون پیام بدن یا شما رو به گروه اضافه کنن، و شماره رو برای همه پنهان کنید. درس لینک کوتاه گفت لینک‌های دعوت به گروه‌های «سرمایه‌گذاری» از کجا میان.

پاک کردن پیام برای همه

بیشتر پیام‌رسان‌ها اجازه می‌دن پیامی که فرستادید رو «برای همه» پاک کنید. بعضی‌ها برای این کار یه محدودیت زمانی دارن و بعضی‌ها نه. ولی پاک کردن برای همه، فقط از برنامه‌ی طرف مقابل پاک می‌کنه؛ اگه طرف تا اون موقع پیام رو دیده، اسکرین‌شات گرفته، یا پیام‌رسانش پشتیبان گرفته، یا یه نسخه‌ی غیررسمی داره که پیام‌های پاک‌شده رو نگه می‌داره، پیام هنوز جایی هست. و روی گوشی طرف معمولا یه خط می‌مونه که «این پیام پاک شد».

پس پاک کردن برای همه، برای اشتباه‌های کوچیک خوبه، مثل فرستادن پیام به گروه اشتباه؛ ولی جای فکر کردن پیش از فرستادن رو نمی‌گیره. قانون ساده: چیزی که اگه یه روز پخش بشه پشیمون می‌شید، از اول نفرستید، یا با پیام خودنابود و فقط به کسی که بهش اعتماد دارید.

طرف مقابل

امن‌ترین پیام‌رسان دنیا، اگه هیچ‌کدوم از آشناهاتون روش نباشن، به کاری نمیاد؛ و پیام‌رسان امن، اگه طرف مقابل گوشیش رو بی قفل این‌ور و اون‌ور بذاره، کمکی نمی‌کنه. برای همین انتخاب پیام‌رسان یه کار گروهیه. اگه چیز حساسی دارید، یه پیام‌رسان سرتاسری انتخاب کنید که طرف مقابل هم بتونه نصبش کنه، و براش توضیح بدید چرا. و برای همون یه گفتگو، چند تا قانون ساده بذارید: پیام خودنابود، اسکرین‌شات نه، و کد امنیتی رو یه بار حضوری چک کنید.

تنظیم‌هایی که همه‌جا مهمن

هر پیام‌رسانی که استفاده می‌کنید، این چند تا تنظیم، بیشترین فرق رو می‌سازن:

1. قفل دوم، که اسمش رو «تایید دومرحله‌ای» گذاشتن، روشن باشه. درس ورود دومرحله‌ای.
2. دستگاه‌های وصل‌شده رو ببینید و هر چی نمی‌شناسید، بیرون کنید.
3. تعیین کنید کی شماره‌ی تلفن، عکس پروفایل و آخرین بازدیدتون رو ببینه.
4. تعیین کنید کی بتونه شما رو به گروه اضافه کنه؛ «مخاطب‌ها» یا «هیچ‌کس».
5. برای گفتگوهای حساس، پیام خودنابود.
6. اگه پشتیبان ابری دارید، سرتاسریش کنید.
7. برنامه رو همیشه به‌روز نگه دارید.

وقتی یه پیام‌رسان رو کنار می‌ذارید

پاک کردن برنامه از گوشی، حساب رو پاک نمی‌کنه. حساب، با همه‌ی گروه‌ها، مخاطب‌های همگام‌شده و توی تلگرام همه‌ی چت‌های ابری، روی سرور می‌مونه، و هر کسی که روزی به شماره‌ی شما برسه، مثلا صاحب تازه‌ی یه خط سوخته، می‌تونه واردش بشه. اگه دیگه از یه پیام‌رسان استفاده نمی‌کنید، از داخل خود برنامه، حساب رو پاک کنید.

تلگرام توی راهنماش می‌گه اگه دست‌کم ۱۸ ماه وارد نشید، حساب با همه‌ی پیام‌ها، فایل‌ها و مخاطب‌ها خودش پاک می‌شه، و این مدت رو می‌شه توی تنظیمات کوتاه‌تر کرد. اگه یه پیام‌رسان رو کم استفاده می‌کنید، این مدت رو کم کنید تا حساب فراموش‌شده، سال‌ها روی سرور نمونه. درس حق پاک کردن می‌گه بعد از پاک کردن حساب، چه چیزهایی واقعا پاک می‌شن و چه چیزهایی نه.

انتخاب

هیچ جواب واحدی نیست، ولی چند تا قاعده هست. اگه حریم خصوصی برای شما از همه مهم‌تره و می‌تونید اطرافیان رو هم بیارید، سیگنال. اگه بیشتر اطرافیانتون روی واتساپن، واتساپ با تنظیم‌های این درس، پیام‌هاتون رو سرتاسری نگه می‌داره؛ فقط بدونید فراداده‌ی زیادی جمع می‌کنه. اگه تلگرام استفاده می‌کنید، برای چیزهای خصوصی، چت مخفی؛ و بدونید گروه‌ها و چت‌های معمولی روی سرور قابل خوندنن. اگه آیفون دارید، Advanced Data Protection رو جدی بگیرید. و برای هیچ چیز حساسی پیامک نه.

خیلی‌ها چند تا پیام‌رسان با هم دارن، و این اشکالی نداره: یکی برای گروه‌ها و کانال‌ها، یکی برای حرف‌های خصوصی. مهم اینه که بدونید هر کدوم کجا ایستاده.

اشتباه‌های رایج

• «سرتاسریه، پس حریم خصوصیم کامله.» فراداده جداست؛ دفتر پستخونه رو ببینید.
• «توی گروه تلگرام، پیام‌ها مخفیه.» گروه‌های تلگرام سرتاسری نیستن.
• «نسخه‌ی طلایی امکانات بیشتری داره.» یه برنامه‌ی غیررسمی همه‌ی پیام‌هاتون رو داره.
• «آیفون دارم، آی‌مسیج کاملا سرتاسریه.» بی Advanced Data Protection، پشتیبان آی‌کلود کلید پیام‌ها رو داره.
• «به مخاطب‌ها اجازه دادم، مهم نیست.» شماره‌ی همه‌ی آدم‌های دفترچه‌تون فرستاده شد.
• «شماره‌م رو برای آگهی دادم.» نام کاربری بدید، نه شماره.

آخرین بررسی راهنمای رسمی گوگل، تلگرام، سیگنال، اپل و ایکس: ۲۴ مهر ۱۴۰۵.